Heroku heeft de wachtwoorden van al zijn gebruikersaccounts laten veranderen. De stap komt er zowat een maand nadat OAuth-tokens van het bedrijf werden gestolen.
Cloudplatform Heroku heeft zijn gebruikers gevraagd hun wachtwoorden te veranderen, voordat het bedrijf ze zelf reset. Ook API tokens zullen daarbij vervallen, waardoor apps die op het platform draaien misschien niet meer werken tot er een nieuwe token wordt aangemaakt. Het is een reactie van de PaaS-leverancier op een ‘beveiligingsincident’ waarbij volgens Heroku zelf een deel van de gebruikersaccounts werden aangetast.
GitHub
Dat incident gebeurde echter al bijna een maand geleden. In april werden OAuth tokens van Heroku en een ander bedrijf, Travis CI, gestolen, zo schrijft GitHub in een beveiligingsrapport. Met die authenticatietokens konden aanvallers data bij GitHub downloaden van verschillende organisaties.
GitHub rapporteerde dat midden april aan zijn eigen klanten en ook aan Heroku, maar die laatste slaagde er blijkbaar enkele weken lang niet in om de omvang van het lek te bevatten of duidelijk te communiceren. De cloudleverancier zegt in een eigen onderzoek dat aanvallers ook de GitHub repositories (codedatabanken) van Heroku zelf konden bereiken en dat ze mogelijk broncode van het platform konden bemachtigen. Bij het incident zouden ook (gehashte) wachtwoorden van gebruikers zijn gestolen. Daarom worden nu de wachtwoorden van alle accounts hersteld, op vraag van Salesforce, dat eigenaar is van Heroku.
Fout opgemerkt of meer nieuws? Meld het hier